応用情報技術者 2019年 秋期 午後 問01

解答の論理構成

1. 感染の可能性確認
   • 添付ファイルを「展開して実行してしまっていた」と明記されています。
     引用：【問題文】「設計部のZさんも不審メールを受信しており、添付ファイルを展開して実行してしまっていた」
2. 被疑PCの危険性
   • マルウェアが「インターネット上の特定のサーバと不審な通信を試みていた」ことが後に判明しています。
     引用：【問題文】「不審なプロセスが稼働しており、インターネット上の特定のサーバと不審な通信を試みていた」
3. 即時隔離の目的
   • 不審通信が行われているPCをLANに接続したままにすると、 (a) 外部へ情報を送信する恐れ
     (b) 社内の他PCやサーバへ感染を広げる恐れ
     の両方があるため、ネットワークから切り離すことが必要です。
4. 以上より、①の目的は
   「社内の他の機器と通信させないため」
   となります。

誤りやすいポイント

• 「外部への情報漏えい防止」のみを書き、内部拡散防止に触れない。
• 「PCの電源を切るため」「証拠保全のため」など、切り離しの直接的な理由を外す。
• 感染が確定したと誤解し、「ウイルス駆除のため」など調査前提の説明を書く。

FAQ

解答の論理構成

1. 不審なプロセスが用いた通信プロトコル
   – 問題文には「“不審な通信はSSHを使っていた”」と明示されています。
2. P社のファイアウォール設定
   – 同じく問題文で「“インターネットへのアクセスはファイアウォール（以下、FWという）でHTTP及びHTTPSによるアクセスだけを許可している。”」と記述されています。
3. 上記 1 と 2 の突き合わせ
   – SSH は HTTP/HTTPS とは別ポート・別プロトコルです。
   – 許可リストに含まれない通信は FW により遮断されます。
4. 結論
   – よって「不審なプロセスが特定のサーバとの通信に失敗した理由」は「FWでアクセスが許可されていないから」です。

誤りやすいポイント

• 「SSH サーバ側の障害」と勘違いしやすい。問題文は“FWの許可プロトコル制限”を先に示している点がヒントです。
• 「認証失敗」と答えるケースも散見されるが、SSH セッション確立以前の“ポートが閉じている”状況なので認証の問題ではありません。
• 「社内 LAN から遮断したから」と誤答する例もあるが、②はケーブルを抜く前に生じた事象です。

FAQ

解答の論理構成

1. 【問題文】には
   “インターネットへのアクセスはファイアウォール（以下、FWという）でHTTP及びHTTPSによるアクセスだけを許可している。”
   とあり、SSH は許可されていません。
2. したがって、被疑PCが試みた “不審な通信はSSHを使っていた”（同文）場合、通信は FW で遮断されます。
3. 遮断／通過の可否を記録するログを保持しているのは FW であり、他の機器（メールサーバやWebサーバ）は SSH の通過・遮断を直接記録できません。
4. これを踏まえて “Q社はaのログを分析して、不審な通信が被疑PC以外には観測されていない” という調査行為の対象は、SSH を遮断した機器＝FW でなければ説明がつきません。
5. よって a に入る機器名は
   解答：FW

誤りやすいポイント

• ルータのログと混同する
  ルータは経路情報を扱うのが主目的で、アプリケーション層ポートまで細かく遮断設定していないケースが多いです。SSH を拒否した事実を確実に残すのは FW 側です。
• メール関連機器と早合点する
  設問直前に “不審な通信はSSHを使っていた” とあるため、メールサーバのログではなくネットワーク制御機器のログであることに注意が必要です。
• “FW＝Firewall” を書き換えてしまう
  指示文に “数字・固有名詞は必ず原文を正確に引用（改変禁止）” とあるので、略称 “FW” をそのまま書く必要があります。

FAQ

解答の論理構成

1. 【問題文】の表2「メールサーバにおけるメール受信対策」で、 　　“・bなどの送信ドメイン認証を導入する。”
   　と明記されています。空欄は「送信ドメイン認証」の代表例を補う位置です。
2. 送信ドメイン認証は、メールの Envelope From（SMTP MAIL FROM）や HELO／EHLO で申告されたドメインと、そのドメインの DNS 情報を突き合わせることで「ドメインなりすまし」を検知する仕組みです。代表的な方式は “SPF, DKIM, DMARC” などです。
3. 解答群を照合すると、送信ドメイン認証方式に該当するのは
   　“エ：SPF” だけです。
   　・“ア：OP25B” は ISP が外向け 25/TCP をブロックする迷惑メール対策であり認証ではありません。
   　・“イ：PGP”、“ウ：SMIME” はメール本文や添付ファイルを利用者単位で暗号化・電子署名する技術であり、ドメイン認証ではありません。
4. よって、b に入る適切な字句は “エ：SPF” となります。

誤りやすいポイント

• 「電子署名＝認証」という連想で “イ：PGP” や “ウ：SMIME” を選ぶ誤答が多いです。これらはドメインではなく“利用者”を認証します。
• “ア：OP25B” は“Outbound Port 25 Blocking”の略で、送信ドメイン認証とは無関係です。
• “送信ドメイン認証” という語から DKIM／DMARC を思い出しても、選択肢に無い点を見落とすと迷います。選択肢を一つずつ機能で消去しましょう。

FAQ

解答の論理構成

• 標的型攻撃メールへの対策として W 氏は「送信ドメイン認証は、メールのcを検知することができます」と説明しています。送信ドメイン認証（SPF、DKIM、DMARC など）はドメインを偽装したメールを見分ける技術なので、ここに入るのは「送信元メールアドレスのなりすまし」と判断できます。
  引用：「送信ドメイン認証は、メールのcを検知することができます。」
• 不審な通信は SSH だったため FW で遮断されましたが、W 氏は「マルウェアが使用する通信プロトコルがdだった場合、サイバー攻撃の被害が拡大していたおそれがありました」と説明しています。P 社の FW は HTTP と HTTPS だけを許可しています。つまり、許可されているプロトコルにマルウェアが紛れ込めば被害は広がるという文脈なので、ここには「HTTP又はHTTPS」が入ります。
  引用：「PC からインターネットへのアクセスには、FW でHTTP及びHTTPSだけを許可し、それ以外は遮断する。」

誤りやすいポイント

• 送信ドメイン認証の効果を「差出人名の偽装」や「メール本文の改ざん検知」と誤解しやすいです。キーワードはあくまで「送信元メールアドレスのなりすまし」です。
• FW が遮断したのは SSH であり、HTTP／HTTPS は通ってしまう点を見落とすと d に「SSH」や「FTP」を書いてしまうミスにつながります。
• 「HTTPまたはHTTPS」「HTTP及びHTTPS」など表記を変えてしまうと減点対象です。問題文と同じ「HTTP又はHTTPS」を使う必要があります。

FAQ

解答の論理構成

1. 【問題文】の引用
   ――「例えば、③水飲み場攻撃によってマルウェアをダウンロードさせられることがあります。」
   水飲み場攻撃では、利用者が“普段からアクセスする Web サイト”を改ざんし、訪問した際にマルウェアを自動ダウンロードさせるのが典型的手口です。
2. 論点整理
   • “どこかにあらかじめ仕込んでおいたマルウェア”の置き場所は、攻撃者が「ターゲットが高頻度で訪れる場所」を選ぶほど成功確率が高まります。
   • 改ざん対象はインターネット上の公開サイトであることが前提で、社内機器（プロキシサーバやメールサーバ）を狙う攻撃とは目的が異なります。
3. 解答群との対応
   ア：P社従業員がよく利用するサイト　→　ターゲット訪問率が高く、典型的。
   イ：P社従業員の利用が少ないサイト　→　成功率が低いため水飲み場攻撃向きではない。
   ウ：P社のプロキシサーバ／エ：P社のメールサーバ
   どちらも社内機器であり「外部公開サイトの改ざん」という水飲み場攻撃の定義に当てはまらない。
4. 結論
   よって、マルウェアが仕込まれる可能性が最も高いのは「ア：P社従業員がよく利用するサイト」である。

誤りやすいポイント

• 水飲み場攻撃＝「社内の Web サーバ改ざん」と連想してしまう。実際はターゲットが日常的に訪問する“外部の Web サイト”を汚染する攻撃です。
• 「利用が少ないサイト」を選ぶと“標的型”というキーワードに引きずられる場合がありますが、成功率を考えるとターゲット行動の“頻度”が鍵になります。
• 社内メールサーバ／プロキシサーバは内部管理下にあり、外部改ざんとは趣旨が異なる点に注意しましょう。

FAQ

解答の論理構成

1. URLフィルタリングでは遮断されない “正規サイト” に C&C サーバが置かれている場合、通信自体は proxy 経由で可能です。
   ――【問題文】「④こちらが講じた対策を回避してC&C(Command and Control)サーバと通されてしまうおそれ」
2. ただし、表2のインターネットアクセス対策では proxy で「利用者IDとパスワードによる利用者認証」を行います。
   ――【問題文】「プロキシサーバでは、利用者IDとパスワードによる利用者認証を導入する。」
3. したがって、マルウェアが proxy を通過して C&C と通信するためには、利用者認証を突破する必要があります。
4. 解答群で “利用者認証を突破できる” 機能は「エ：プロキシサーバの利用者認証情報を窃取する機能」のみです。
5. よって、マルウェアがこの機能を備えていれば「④こちらが講じた対策を回避」し、C&C 通信が成立し得る。

誤りやすいポイント

• 「イ：感染後にしばらく潜伏…」を選んでしまう
  → 潜伏期間は検知を遅らせる効果ですが、proxy 認証を回避する説明になっていません。
• URL フィルタリング＝万能と誤解
  → 許可サイト内に C&C サーバが設置される “正規サイト悪用型” では URL フィルタリングだけでは防げません。
• “SSH が遮断された” 事実と混同
  → 本設問は「HTTP／HTTPS 経由で成功する可能性」を想定しています。SSH の可否は無関係です。

FAQ

解答の論理構成

1. まず本文では、不審メールを受け取った従業員が取った行動として、 　“「添付ファイルがある不審な内容のメールを受信したがどうしたらよいか」との問合せが、複数の従業員から総務部の情報システム担当に寄せられた”
   　と明記されています。つまり、従業員は専門部署へ連絡することが正しい行動として描かれています。
2. さらに、X部長は⑤不審なメールの適切な取扱いについて従業員に周知するよう指示しています。適切な取扱いとは「勝手に操作せず専門部署へ報告する」ことを指します。
3. 解答群を照合すると、 　ア：メールクライアント再インストール → 原因調査にもならず根本対策ではない
   　イ：不審なメールが届いたことをP社の情報システム担当に連絡する → 上記本文と一致
   　ウ：本文・添付の保存 → 感染拡大や証拠改ざんのリスク
   　エ：URLへアクセス → 攻撃者の思惑通り
   　よって最も適切なのは「イ」です。

誤りやすいポイント

• “証拠保全のため保存する”と考えて「ウ」を選択しがちですが、エンドユーザが保存操作を行うとマルウェアの自動実行を誘発する危険があります。
• 「削除して終わり」や「再インストールしてリセット」と短絡的に考えると、組織的インシデント対応フローを無視することになります。
• URLを自分で確認しようとする自主判断は、水飲み場攻撃など二次感染を招く典型例です。

FAQ